Cách ArtisanClo bảo vệ dịch vụ, quyền truy cập và dữ liệu vận hành.

Chúng tôi thiết kế và duy trì dịch vụ với các biện pháp bảo mật nhằm giảm khả năng truy cập trái phép, lạm dụng dịch vụ và các lỗ hổng phổ biến của ứng dụng web. Việc này bao gồm kiểm tra dữ liệu đầu vào, kiểm tra quyền truy cập, bảo vệ trạng thái và các cơ chế xử lý yêu cầu phù hợp với kiến trúc nền tảng.

Các endpoint ra quyết định traffic và endpoint liên quan đến tài khoản có thể dùng các biện pháp như yêu cầu có chữ ký, xác thực bằng khóa bí mật, chống phát lại, kiểm tra nonce, khung thời gian theo timestamp, giới hạn tần suất và kiểm tra phân quyền phía server khi các biện pháp đó phù hợp với mục đích của endpoint.

Các biện pháp bảo mật có thể thay đổi theo thời gian. Chúng tôi có quyền thêm, bỏ, tăng cường hoặc cấu hình lại các biện pháp bảo vệ kỹ thuật mà không cần thông báo trước khi cần thiết một cách hợp lý để bảo vệ dịch vụ, người dùng hoặc bên thứ ba.

Nền tảng được vận hành trên hạ tầng được quản lý và các dịch vụ vận hành được chọn để bảo đảm tính khả dụng, bảo mật và quản trị có kiểm soát. Thành phần hạ tầng có thể gồm máy chủ tính toán, cơ sở dữ liệu, lưu trữ, kiểm soát mạng, hệ thống giám sát và công cụ sao lưu do các nhà cung cấp bên thứ ba cung cấp.

Chúng tôi phân tách trách nhiệm vận hành và dùng các biện pháp quản trị nhằm giảm truy cập trực tiếp không cần thiết vào hệ thống production. Đường truy cập, khóa bí mật và quy trình triển khai có thể chỉ giới hạn cho nhân sự được chỉ định hoặc quy trình tự động thay mặt chúng tôi.

Chúng tôi có thể dùng riêng các môi trường staging, development và production. Không phải quy trình vận hành nào cũng giống hệt nhau giữa các môi trường, nhưng các biện pháp cho production được áp dụng với tiêu chuẩn bảo mật cao hơn quy trình kiểm thử nội bộ.

Dữ liệu truyền giữa trình duyệt hoặc hệ thống của bạn và dịch vụ của chúng tôi được bảo vệ bằng HTTPS/TLS trong vận hành thông thường. Một số bối cảnh vận hành, kiểm thử hoặc phát triển cục bộ có thể khác, nhưng việc sử dụng dịch vụ công khai được thực hiện qua đường truyền mã hóa.

Chúng tôi cũng dùng các biện pháp bảo vệ ở cấp lưu trữ và nhà cung cấp phù hợp với loại dữ liệu liên quan. Một số thông tin có thể được che, băm, token hóa, cắt ngắn hoặc chuyển đổi theo cách khác trong log, dữ liệu xuất hoặc quy trình nội bộ khi không cần đến giá trị gốc đầy đủ cho mục đích vận hành tương ứng.

Không có phương thức truyền tải hay hệ thống lưu trữ nào an toàn tuyệt đối. Vì vậy, người dùng nên tránh gửi thông tin nhạy cảm không cần thiết lên dịch vụ và nên tuân theo chính sách tối thiểu hóa dữ liệu nội bộ của mình khi cấu hình flow, ghi chú, điểm đến, dữ liệu xuất hoặc yêu cầu hỗ trợ.

Bạn có trách nhiệm giữ bí mật thông tin đăng nhập, khóa bí mật API, thông tin khôi phục và mọi quyền truy cập nội bộ bạn cấp cho nhân viên, nhà thầu hoặc cộng tác viên. Hành động thực hiện qua tài khoản của bạn được coi là do bạn cho phép, trừ khi có bằng chứng rõ ràng ngược lại.

Bạn phải kịp thời thu hồi quyền truy cập của nhân sự đã nghỉ, thay các thông tin đăng nhập bị lộ và báo cho chúng tôi không chậm trễ nếu bạn cho rằng tài khoản, token hoặc khóa bí mật của mình đã bị xâm phạm. Chúng tôi có thể tạm ngừng, đặt lại hoặc hạn chế quyền truy cập khi có cơ sở hợp lý cho rằng việc đó cần thiết để bảo vệ dịch vụ hoặc người dùng bị ảnh hưởng.

Nếu dịch vụ có nhiều chỗ, vai trò hoặc cấp quản trị, bạn có trách nhiệm phân quyền phù hợp và giới hạn truy cập theo nhu cầu kinh doanh chính đáng.

Chúng tôi duy trì giám sát và cảnh báo nhằm phát hiện dịch vụ thiếu ổn định, sự kiện vận hành đáng ngờ, hoạt động lạm dụng và dấu hiệu bị xâm nhập. Việc giám sát có thể bao gồm log ứng dụng, sự kiện truy cập, mẫu yêu cầu, số liệu hệ thống, cảnh báo từ nhà cung cấp và dữ liệu kiểm tra quản trị.

Nếu phát hiện sự kiện bảo mật đã được xác nhận hoặc có cơ sở hợp lý để nghi ngờ, chúng tôi có thể điều tra, khoanh vùng, giảm thiểu, khôi phục và ghi nhận vấn đề bằng các biện pháp chúng tôi thấy phù hợp với tình huống. Các biện pháp này có thể gồm tạm thời hạn chế dịch vụ, buộc đặt lại thông tin đăng nhập, giới hạn tuyến hoặc endpoint, chặn hoạt động, chuyển vấn đề lên nhà cung cấp, khôi phục từ bản sao lưu hoặc liên hệ trực tiếp với người dùng bị ảnh hưởng.

Khi pháp luật hiện hành yêu cầu thông báo hoặc khi chúng tôi xác định thông báo là phù hợp, chúng tôi sẽ thông tin về sự cố bảo mật nghiêm trọng qua dịch vụ, qua email hoặc qua các kênh liên lạc chính thức khác gắn hợp lý với tài khoản bị ảnh hưởng.

Chúng tôi dựa vào nhà cung cấp bên thứ ba cho hạ tầng, liên lạc, phân tích, xử lý thanh toán và các chức năng vận hành khác. Các nhà cung cấp đó hoạt động theo điều khoản hợp đồng, kỹ thuật và bảo mật riêng, và chúng tôi không kiểm soát mọi khía cạnh trong hệ thống của họ.

Chúng tôi chọn nhà cung cấp dựa trên các yếu tố kinh doanh, kỹ thuật, vận hành và bảo mật liên quan hợp lý đến dịch vụ. Tuy nhiên, việc sử dụng một nhà cung cấp không có nghĩa là chúng tôi bảo đảm hiệu năng, tính khả dụng liên tục hay sự tuân thủ pháp luật của họ ở mọi khu vực pháp lý.

Việc sử dụng nền tảng đồng nghĩa với việc bạn thừa nhận dữ liệu có thể được các nhà cung cấp đó xử lý khi cần thiết để cung cấp và bảo mật dịch vụ.

Dù chúng tôi duy trì các biện pháp bảo mật nhằm giảm rủi ro, không phần mềm, mạng, môi trường đám mây hay kênh liên lạc nào có thể được bảo đảm an toàn hoàn toàn. Bạn hiểu và chấp nhận rằng luôn còn rủi ro tồn dư mỗi khi dữ liệu được xử lý hoặc truyền tải trực tuyến.

Trừ trong phạm vi pháp luật hiện hành cấm hoặc được nêu rõ trong một thỏa thuận riêng bằng văn bản do chúng tôi ký, trang này không tạo ra bất kỳ bảo đảm, cam kết chứng nhận, cam kết về biện pháp kiểm soát tối thiểu hay bảo đảm mức dịch vụ nào. Chúng tôi có thể cập nhật cách thức bảo mật theo thời gian để đáp ứng thay đổi về kinh doanh, pháp lý, kỹ thuật hoặc mô hình mối đe dọa.

Bạn vẫn có trách nhiệm đánh giá nền tảng có phù hợp với mục đích sử dụng của mình hay không và triển khai mọi biện pháp tổ chức, hợp đồng, pháp lý hoặc kỹ thuật bổ sung mà hoạt động kinh doanh hay nghĩa vụ pháp lý của bạn yêu cầu.